SOC 2 يركز على إثبات وجود الضوابط وتشغيلها على مر الزمن. وتحتاج الشركات إلى جمع الأدلة، واستعراضات الوصول، وإدارة التغيير، وإدارة أوجه الضعف، والاستجابة للحوادث، وإدارة البائعين، وإعداد التقارير الجاهزة لالتدقيق.
فريق التحرير: Security Stack Compareتحديث الصفحة:
SOC 2 يركز على إثبات وجود الضوابط وتشغيلها على مر الزمن. وتحتاج الشركات إلى جمع الأدلة، واستعراضات الوصول، وإدارة التغيير، وإدارة أوجه الضعف، والاستجابة للحوادث، وإدارة البائعين، وإعداد التقارير الجاهزة لالتدقيق.
الأدوات + الناس
أبق مالكاً مسؤولاً داخل منظمتك سد أي ثغرات في المهارات أو القدرات عن طريق تعيين داخلي أو خبير استشاري أو مقدم خدمات منظم. لم يتم اختيار أي مزود لك.
النظر في دعم الخبراء · لم يتم اختيار مقدم خدمة
تحقق أولاً مما إذا كان الرصاص الداخلي يمكن أن يمتلك البرنامج. تأمل في القيادة الخارجية فقط من أجل وجود فجوة في القدرات أو الخبرات؛ ولا تحتاج إلى خدمة جديدة لمجرد استخدام هذه الخطة.
النظر في دعم الخبراء · لم يتم اختيار مقدم خدمة
تكليف شخص ما بالنطاق المطلوب وتقييم الثغرات وتنظيم الأدلة استخدم فريقك أو قارن اختصاصي الإعداد المؤهلين؛ وأشرك المقيِّم المستقل المختص عند الاقتضاء.
تحتاج خدمات الخبراء إلى نطاق وعرض سعر منفصلين؛ ولا تشمل اشتراكات البرامج أو تقديرات الوقت الأسبوعي لاستخدامها هذا العمل. تقرر الجهة المستقلة المختصة نتائج منح الشهادات والتدقيق.
وضع أدوات التخطيط والأشخاص لهذا الهدف(ج) رسم خريطة عملية للاحتياجات لنطاق المنتجات الموثقة. فالتغطية التحريرية هي نقطة انطلاق للتحقق، وليست دليلا على الامتثال. ويحتاج النطاق الذي يصفه البائعون وعمليات التكامل إلى تحقق منفصل.
قارن بين أداتين مقابل كل مطلب.
ويتوقع مراجعو الحسابات أن تعمل الضوابط على مدى أشهر، مع إثبات ذلك.
بالنسبة continuous evidence collection، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
استعراض موثق لكل مستخدم/دور.
بالنسبة quarterly access reviews، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
كُلّ تغيير بِدْلِ لَهُ a تذكرة، موافقة وصلة.
بالنسبة change management evidence، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
يمسح + دليل العلاج في الجدول الزمني.
بالنسبة vulnerability management، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
قائمة جرد البائعين + المخاطر + الاستعراضات.
بالنسبة vendor management، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
تمارين محاكاة الحوادث مع أدلة موثقة.
بالنسبة incident response drills، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
سجلات مركزية مع إثبات الاحتفاظ والمراجعة.
بالنسبة logging & monitoring، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
| الاشتراط | 🇺🇸 من $59.99/ جهاز / سنة | 🇺🇸 إقتباس شخصي | 🇺🇸 من $3/ مستخدم / شهر | 🇺🇸 مجانا/فريقا من $25 شهريا | 🇺🇸 إقتباس شخصي | ملاحظة المحرر |
|---|---|---|---|---|---|---|
جمع الأدلة بصورة مستمرة ويتوقع مراجعو الحسابات أن تعمل الضوابط على مدى أشهر، مع إثبات ذلك. | جزئي | قوي | جزئي | جزئي | قوي | ›بالنسبة continuous evidence collection، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
الاستعراضات الفصلية لإمكانية الوصول استعراض موثق لكل مستخدم/دور. | جزئي | قوي | جزئي | غير مشمولة | قوي | ›بالنسبة quarterly access reviews، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
أدلة إدارة التغيير كُلّ تغيير بِدْلِ لَهُ a تذكرة، موافقة وصلة. | غير مشمولة | نُفذت | غير مشمولة | جزئي | نُفذت | ›بالنسبة change management evidence، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
إدارة أوجه الضعف يمسح + دليل العلاج في الجدول الزمني. | قوي | جزئي | نُفذت | قوي | جزئي | ›بالنسبة vulnerability management، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
إدارة شؤون البائعين قائمة جرد البائعين + المخاطر + الاستعراضات. | غير مشمولة | قوي | غير مشمولة | غير مشمولة | قوي | ›بالنسبة vendor management، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
تدريبات لممارسة الرد على الحوادث الأمنية تمارين محاكاة الحوادث مع أدلة موثقة. | قوي | جزئي | جزئي | غير مشمولة | جزئي | ›بالنسبة incident response drills، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
قطع الأشجار والرصد سجلات مركزية مع إثبات الاحتفاظ والمراجعة. | قوي | جزئي | قوي | جزئي | جزئي | ›بالنسبة logging & monitoring، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
استنادا إلى القدرات الموثقة وتوصيف البائعين الموصوف. تحقق من نطاق الخطة والتكاملات والأدلة مع كل بائع قبل الشراء.
SOC 2 يركز على إثبات وجود الضوابط وتشغيلها على مر الزمن. وتحتاج الشركات إلى جمع الأدلة، واستعراضات الوصول، وإدارة التغيير، وإدارة أوجه الضعف، والاستجابة للحوادث، وإدارة البائعين، وإعداد التقارير الجاهزة لالتدقيق.
SaaS ومنظمات الخدمات بيع لشركات الولايات المتحدة.
مراجعات الدخول، تذاكر التغيير، المسح الضوئي، تمرينات IR، سجلات البائعين.
مواصلة استعراض الأدلة والوصول إليها.
بالنسبة لـ SOC 2، وضع خريطة لكل شرط إلى المالك، وتحكم تشغيلي وأدلة مؤرخة. ابدأ بالسجلات من الأنظمة التي تستخدمها بالفعل. التحقق من الصادرات واستعراض التوقعات قبل شراء برامج الجمع أو التنسيق.
الاحتفاظ بأدوات مفيدة مفتوحة المصدر، وتحديد النتائج، والتحقق من التصحيحات والاحتفاظ بالأدلة. قارن سير العمل الذاتي، البرامج الموجهة والدعم المنظم من خلال العمل الذي تحتاجه.
مقارنة بدائل Vanta لـ SMBs التي تحتاج إلى أدلة التدقيق، وتدفق العمل الإصلاحي، ومخاطر الموردين، والعمليات الأمنية العملية قبل شراء الشركة GRC.
قارن بدائل Drata لـ SMBs التي تحتاج إلى أدلة الامتثال، وملكية الإصلاح، ووضوح التسعير، والتنسيق في مجال الأمن.
قارن بين Shielda و Vanta من قبل المشتري المناسب، تدفق الأدلة، الإصلاح، وضوح التسعير وحيث كل أداة هي أقوى بأمانة.